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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

(3) Verfahren und Vorrichtung zur Synchronisation eines Rechners und einer Uberwachungsschaltung 

@ Die Erfindung betrifft ein Verfahren zum Betreiben min- 
destens eines Rechners und mindestens einer dem min- 
destens einen Rechner zugeordneten und nach einem be- 
stimmten zeitlichen Muster von dem Rechner zu bedie- 
nenden Uberwachungsschaltung (Watchdog), insbeson- 
dere fur eine Steuer- oder Sicherheitseinrichtung fur ein 
Kraftfahrzeug, wobei der Rechner mckgesetzt wird, falls 
die Oberwachungsschaltung nicht nach dem zeitlichen 
Muster bedient wird. Um auf moglichst einfache Weise 
eine Synchronisation des Rechners auf die Uberwa- 
chungsschaltung zu ermoglichen, wird vorgeschlagen, 
dass nach einem Hochfahren (1) des Rechners aus einem . 
Rucksetzmodus in einen Arbeitsmodus eine Zeitbasis er- 
mittelt wird, die nach dem Hochfahren des Rechners bis 
zu einem Rucksetzen des Rechners auf Grund einer feh- 
lenden Bedienung der Uberwachungsschaltung nach 
dem zeitlichen Muster vergeht, und dass die Uberwa- 
chungsschaltung in zeitlichen Abstanden bedient wird, 
' die in Abhangigkeit von der Zeitbasis ermittelt werden 
(11). 
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Beschreibung 



[0001] Die vorliegende ErfLndung betrifft ein Verfahren 
zum Betreiben mindestens eines Rechners und mindestens 
einer dem mindestens einem Rechner zugeordneten Uber- 5 
wachungsschaltung (Watchdog). Der Rechner dient insbe- 
sondere fur eine Steuer- oder Sicherheitseinrichtung fiir ein 
Kraftfahrzeug. Die Uberwachungsschaltung muss nach ei- 
nem bestimmten zeitlichen Muster von dem Rechner be- 
dient werden. Falls die Uberwachungsschaltung nicht nach 10 
dem zeitlichen Muster bedient wird, wird der Rechner riick- 
gesetzt. 

[0002] Die Erfindung betrifft auBerdem ein Steuergerat 
mit mindestens einem Rechner und mindestens einer dem 
mindestens einem Rechner zugeordneten und nach einem 15 
bestimmten zeitlichen Muster von dem Rechner zu bedie- 
nenden Uberwachungsschaltung (Watchdog), insbesondere 
fur eine Sicherheitseinrichtung fur ein Kraftfahrzeug. 
[0003] SchlieBlich betrifft die vorliegende Erfindung ein 
Steuerelement, insbesondere ein Read-Only-Memory oder 20 
ein Rash-Memory, fur ein derartiges Steuergerat. 

Stand derTechnik 

[0004] In vielen Steuergeraten und in zunehmendem 25 
MaBe auch in Kraftfahrzeugen kornmen als Mikrocontroller 
bzw. Mikroprozessoren ausgebildete Rechner zur Steuerung 
bzw. Regelung beliebiger Funktionen ziim Einsatz. Die zu 
steuernden/regelnden Funktionen in einem Kraftfahrzeug 
sind bspw. die Brennkraftmaschine, eine Klimaanlage oder 30 
sicherheitskritische Funktionen wie eine elektronische Len- 
kung (steer-by- wire), ein elektronisches Gaspedal, ein Anti- 
blockierbremssystem (ABS) oder ein Passagier-Riickhalte- 
system (Airbag, Gurtstraffer, ruckpraUdarnpfende Kopf- 
stiitze, etc.). 35 
[0005] Mikroprozessoren beinhalten nur ein Rechenwerk, 
wahrend Mikrocontroller auch Speicher, bspw. Random- 
Access-Memory (RAM), Read-Only-Memory (ROM), 
Electrically-Erasable-Programmable-Read-Only-Memory 
(EEPROM) oder Flash-Memory, und Peripheriefunktionen, 40 
bspw. einen Digital/Analog- Wandler oder Analog/Digtal- 
Wandler, umfassen. Mikrocontroller konnen Fehlfunktionen 
zeigen, die durch auBere Einfliisse, wie bspw. elektromagne- 
tische Einstrahlung oder statische Entladung, verursacht 
sein konnen. Eine weitere Ursache fur Fehlfunktionen kon- 45 
nen Stbrungen auf Grund von Software-Fehlern in einem 
bestimmten Betriebsmodus sein. 

[0006] Um solche Fehlfunktionen eines Mikrocontrollers 
erkennen zu konnen, besitzen moderne Steuergerate mehr 
oder weniger aufwendige Hardware-Uberwachungsschal- 50 
tungen, sog. Watchdogs. Ein Watchdog ist bspw. auf einem 
anwendungsspezifischen integrierten Schaltkreis (sog. App- 
lication Specific Integrated Circuit; ASIC) realisiert. Ein 
Watchdog muss von dem Mikrocontroller nach einem be- 
stimmten zeitlichen Muster, bspw. in festen zeitlichen Ab- 55 
standen, bedient bzw. angesteuert werden. Unterbleibt eine 
Bedienung des Watchdogs geht dieser von einer Fehlfunk- 
tion des Mikrocontrollers aus und veranlasst ein Rucksetzen 
des Mikrocontrollers. 

[0007] AnschlieBend wird der Mikrocontroller aus dem 60 
Rucksetzmodus wieder in einen Arbeitsmodus hochgefah- 
ren. Das Rucksetzen des Mikrocontrollers umfasst. ein 
Rucksetzen samtlicher Peripheriefunktionen und eine Initia- 
ls ierung des Mikroprozessors. Beim, Hochfahren des Mi- 
krocontrollers aus dem Rucksetzmodus werden Funktions- 65 
tests durchgefuhrt, um eine Fehlfunktion des Mikrocontrol- 
lers detektieren und moglichst auch diagnostizieren zu kon- 
nen. Im Gegensatz zum Rucksetzen und Hochfahren des 



Mikrocontrollers nach einem Aus- und Einschalten des Mi- 
krocontrollers liegt beim Rucksetzen und Hochfahren des 
Mikrocontrollers nach einem Riicksetzbefehl des Watchdog 
die Versorgungsspannung ohne Unterbrechung an dem Mi- 
krocontroller an, so dass Dateninhalte der Speicher des Mi- 
krocontrollers erhalten bleiben. 

[0008] Das Bedienen des Watchdogs durch den Mikro- 
controller kann auf unterschiedliche Weise erfolgen, bspw. 
durch ein einfaches digitales Signal uber eine elektrische 
Verbindung. Der Watchdog kann aber auch durch eine zeit- 
liche Sequenz von Signalen iiber mehrere elektrische Ver- 
bindungen bedient werden. Die Signale mussen nach einem 
bestimmten zeitlichen Muster von dem Mikrocontroller an 
den Watchdog iibermittelt werden. Ein einfacher Watchdog 
muss bspw. in regelmaBigen zeitlichen Abstanden vor Ab- 
lauf einer bestimmten Zeitspanne bedient werden. Ein Fen- 
ster- Watchdog muss innerhalb eines festen Zeitfensters re- 
gelmaBig bedient werden. Ein Fenster- Watchdog veranlasst 
ein Rucksetzen- des Mikrocontrollers sowohl wenn der 
Watchdog zu friih (vor Beginn des Zeitfensters) als auch zu 
spat (nach dem Ende des Zeitfensters) bedient wird. 
[0009] Aus der DE 40 23 700 Al ist eine Watchdog-Ub , 
wachungsschaltung bekannt, die in regelmaBigen zeitlichen 
Abstanden von einem Mikrocontroller durch ein Watchdog- 
Signal bedient wird. Liegt die Frequenz der aus den einzel- 
nen Watchdog-Signalen entstehenden Signalfolge auBerhalb 
eines bestimmten giiltigen Frequenzfensters, detektiert der 
Watchdog eine Fehlfunktion des Mikrocontrollers. 
[0010] Ein Watchdog besitzt von dem Mikrocontroller un- 
abhangige Einrichtungen zum Erzeugen von Watchdog-Zei- 
ten. Ein Watchdog kann unabhangig von einem Mikrocon- 
troller auf ein festes zeitliches Muster, bspw. einen festen 
zeitlichen Ab stand bis zu einer emeuten Bedienung, einge- 
stellt werden. Bei der scharferen Anforderung eines Fenster- 
Watchdog kann unabhangig von einem Mikrocontroller der 
Beginn und das Ende des Zeitfensters fest eingestellt wer- 
den. Das zeitliche Muster nach dem der Watchdog bedient 
werden muss, kann also variieren ohne dass dies von auBen 
anhand des Watchdogs oder des eingesetzten Mikrocontrol- 
lers erkennbar ware. 

[0011] Mikrocontroller werden in zunehmendem MaBe 
mit frei programmierbaren Programmspeicher gefertigt, 
z. B . in der Flash-Technik, Durch die Rash-Technik ist es 
moglich, dass eine Mikrocontroller-Bauart in verschiedenen 
Applikationen mit applikationsspezifischer Software pro- 
grammiert wird. Die Programmierung kann bereits beim 
Halbleiterhersteller oder erst vor Ort beim Anwender erfol- 
gen. Zur Programmierung kann der Mikrocontroller in ein 
separates Programmiergerat eingelegt werden. 
[0012] In zunehmendem MaBe erfolgt die Programmie- 
rung jedoch beim Anwender bei in einer Zielhardware - 
bspw. dem Steuergerat einer Sicherheitseinrichtung fiir ein 
Kraftfahrzeug - eingelegten Mikrocontroller. Die Program- 
mierung in der Zielhardware wird in der Regel durch serielle 
Kommunikation zwischen einem extemen Rechner und ei- 
nem in dem Mikrocontroller ablauffahigen Hilfsprogramm 
gesteuert. Das Hilfsprogramm wird auch als Bootloader be- 
zeichnet und beinhaltet die Programmieralgorithmen und 
das Datenhandling. Die Programmierung kann z. B. in der 
Fertigungslinie des Steuergerateherstellers oder aber unmit- 
telbar in einem Kraftfahrzeug erfolgen. Die serielle Kom- 
munikation erfolgt in einem Kraftfahrzeug iiblicherweise 
iiber eine sog. K-Leit.ung oder iiber einen Controller- Area- 
Network (CAN)-Bus. 

[0013] Unterschiedliche Applikationen des Mikrocontrol- 
lers bringen es mit sich, dass sowohl eine Mikrocontroller- 
Bauart mit unterschiedlichen Prozessor-Taktraten betrieben 
wird als auch. die Watchdogs mit unterschiedlichen zeitli- 
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chen Mustern zu bedienen sind: Dies stellt insbesondere 
wahrend der Programmierung des Mikrocontrollers mittels 
des Bootloaders, ein groBes Problem dar, da dem Microcon- 
troller vor der Programmierung nicht bekannt sein kann, 
nach welchem zeitlichen Muster der Watchdog zu bedienen 5 
ist. 

[0014] Um eine Bedienung des Watchdogs sicherzustel- 
len, muss nach dem Stand der Technik fur eine bestimmte 
Prozessor-Taktfrequenz und fiir ein bestimmtes zeitliches 
Muster zur Bedienung des Watchdogs jeweils eine individu- 10 
elle Bootloader-Software vorhanden sein. Dies ist jedoch 
aufwendig, speicherplatzintensiv und teuer. 
[0015] Aus dem Stand der Technik sind des weiteren 
Boodoader bekannt, die verschiedene feste zeitliche Muster 
zum Bedienen des Watchdogs vorschreiben. Das, zeitliche 15 
Muster ist z. B. iiber Mikrocontroller-Ports oder interne 
nicht fluchtige Speicherzellen konfigurierbar, so dass sich 
eine geringe Hexibilitat der Bootloader ergibt. Neben der 
stark eingeschrankten Hexibilitat dieser bekannten Boodoa- 
der ist ein weiterer Nachteil dieser bekannten Boodoader 20 
der relativ groBe Hardware- und Softwareaufwand. 
[0016] Der yorliegenden Erfindung liegt die Aufgabe zu 
Grunde, auf eine moglichst einfache Weise eine Synchroni- 
sation eines Rechners rnit einer dem Rechner zugeordneten 
und nach einem bestimmten zeitlichen Muster von dem 25 
Rechner zu bedienenden Uberwachungsschaltuug (Watch- 
dog) zu erzielen. 

[0017] Zur Losung der Aufgabe wird ausgehend von dem 
Verfahren der eingangs genannten Art vorgeschlagen, dass 
nach einem Hochfahren des Rechners aus einem Riicksetz- 30 
modus in einen Arbeitsmodus eine Zeitbasis ermittelt wird, 
die nach dem Hochfahren des Rechners bis zu einem Ruck- 
setzen des Rechners auf Grund einer fehlenden Bedienung 
der Uberwachungsschaltung nach dem zeitlichen Muster 
vergeht, und dass die Uberwachungsschaltung in zeidichen 35 
Abstanden bedient wird, die in Abhangigkeit von der Zeit- 
basis ermittelt werden. 
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[0018] ErflndungsgemaB wird das zeitliche Muster, mit 
dem der Watchdog bedient werden muss, um zu verhindern, 
dass der Watchdog ein Riicksetzen des Rechners veranlasst, 
fiir die jeweilige Applikation des Rechners individuell er- 
mittelt. Die verschiedenen Applikationen konnen sich in der 45 
Taktrate des Mikroprozessors oder in dem zeitlichen Muster 
des Watchdogs unterscheiden. Mit dem erfindungsgemaBen 
Verfahren kann der Rechner auf eine besonders einfache 
Weise auf die Uberwachungsschaltung synchronisiert wer- 
den. 50 
[0019] Zur Ermitdung des zeidichen Musters wird der 
Rechner zunachst in an sich bekannter Weise hochgefahren. 
Nach diversen Initialisierungsvorgangen unmittelbar nach 
dem Hochfahren muss die Uberwachungsschaltung bedient 
werden. GemaB der vorliegenden Erfindung unterbleibt je- 55 
doch die Bedienung der Uberwachungsschaltung und es 
wird gewartet, bis die Uberwachungsschaltung ein Ruckset- 
zen des Rechners wegen fehlender Bedienung nach dem 
vorgegebenen zeitlichen Muster veranlasst. Die Zeit, die 
vom Hochfahren des Rechners bis zum Riicksetzen vergeht, 60 
wird als Zeitbasis erfasst. In Abhangigkeit dieser Zeitbasis 
werden zeitliche Abstande ermittelt, die zwischen einer Be- 
dienung der Uberwachungsschaltung und der nachsten Be- 
dienung vergehen. 

[0020] GemaB einer vorteilhaften Weiterbildung der vor- 65 
liegenden Erfindung wird vorgeschlagen, dass das Verfah- 
ren ausgefuhrt wird bevor mit Hilfe eines in dem Rechner 
gespeicherten Hilfsprogramms (Bootloader) ein Applikati- 



onsprogramm in einen Programmspeicher des Rechners ge- 
laden wird. Die im Rahmen des erfindungsgemaBen Verfah- 
rens ennittelten zeitlichen Abstande, in den en die Uberwa- 
chungsschaltung von dem Rechner bedient werden muss, 
werden also bei einer prograrnmierung des Rechners mit ei- 
nem Applikationsprogramm beriicksichtigt. Dadurch kann 
ein einziger Boodoader unabhangig von der Taktrate eines 
Mikroprozessors des Rechners und unabhangig von dem 
zeitlichen Muster zum Bedienen der Uberwachungsschal- 
tung arbeiten. Das zeitliche Muster zum Bedienen der Uber- 
wachungsschaltung wird individuell vor jeder Programmie- 
rung des Rechners ermittelt. Die Uberwachungsschaltung 
wird in den ennittelten zeidichen Abstanden bedient, so 
dass ein Riicksetzen des Rechners durch die Uberwachungs- 
schaltung wahrend der programmierung des Rechners ver- 
hindert wird. 

[0021] GemaB einer bevorzugten Ausfuhrungsform der 
vorliegenden Erfindung wird vorgeschlagen, dass die zeitli- 
chen Abstande durch Multiplikation der Zeitbasis mit einem 
Korrekturfaktor ermittelt werden, Der Korrekturfaktor wird 
vorteilhafterweise kleiner als 1 - vorzugsweise zwischen 
0,75 und 0,9 - gewahlt. Die Zeitbasis gibt diejenige Zeit- 
spanne wieder, nach der der Watchdog spatestens hatte be- 
dient werden mussen, um zu verhindern, dass die tJberwa- 
chungsschaltung ein Riicksetzen des Rechners veranlasst. 
Durch den Korrekturfaktor werden die zeitlichen Abstande 
etwas verringert, so dass der Watchdog etwas vor dem spa- 
test moglichen Zeitpunkt bedient wird. Auf diese Weise 
kann verhindert werden, dass auf Grund einer geringfugigen 
zeitlichen Verschiebung der Bedienung des Watchdogs, 
bspw. auf Grund von Fertigungstoleranzen des Mikrocon- 
trollers oder vor, verlangerten Signallaufzeiten, zu spateren 
Zeitpunkten hin durch die Uberwachungsschaltung falschli- 
cherweise ein Riicksetzen des Rechners veranlasst wird. 
[0022] GemaB einer anderen vorteilhaften Weiterbildung 
der vorliegenden Erfindung wird vorgeschlagen, zum Ermit- 
teln der Zeitbasis nach dem Hochfahren des Rechners aus 
einem Riicksetzmodus in einen Arbeitsmodus ein Zahler 
hochgezahlt und der Zahlerstand in einem ersten Speicher- 
element, vorzugsweise einem Random- Access-Memory 
(RAM), abgelegt wird. Der Zahler speichert die Differenz 
des Zahlerstandes eines System-Timers nach dem Hochfah- 
ren des Rechners (Systemstart) zu dem Zahlerstand wahrend 
des Wartens auf ein Riicksetzen durch den Watchdog. Bei 
manchen Mikrocontrollern wird der System-Timer automa- 
tisch nach dem Hochfahren des Rechners gestartet. Bei an- 
deren Mikrocontrollern muss der System-Timer nach dem 
Hochfahren des Rechners durch einen besonderen Befehl 
gestartet werden. Der Zahlerstand wird in einem Speicher- 
element abgelegt, an dem wahrend des Riicksetzens und des 
erneuten Hochfahrens des Rechners ununterbrochen eine 
Versorgungsspannung anliegt, so dass der Inhalt des Spei- 
cherelements auch nach einem emeuten Hochfahren des 
Rechners nicht verloren geht. 

[0023] GemaB einer weiteren bevorzugten Ausfuhrungs- 
form der vorliegenden Erfindung wird vorgeschlagen, dass 
der Zahlerstand nach einem erneuten Hochfahren des Rech- 
ners nach dem Riicksetzen des Rechners aufgrund einer feh- 
lenden Bedienung der Uberwachungsschaltung der Zahler- 
stand aus dem ersten Speicherelement ausgelesen und als 
Zeitbasis zum Bedienen der Uberwachungsschaltung heran- 
gezogen wird. Der Zahlerstand entspricht demjenigen Zeit- 
punkt, zu dem der Watchdog nach dem Hochfahren des 
Rechners spatestens hatte bedient werden sollen, um ein 
durch die Uberwachungsschaltung veranlasstes Riicksetzen 
des Rechners zu verhindern. Auf Grundlage des Zahlerstan- 
des kann eine Zeitbasis und konnen zeidiche Abstande er- 
mittelt werden, die zum Bedienen des Watchdogs herange- 
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zogen wird. 

[0024] Vorteilhafterweise wird nach einem Hochfahren 
des Rechners aus einem Riicksetzmodus in einen Arbeits- 
modus ein zweites Speicherelement mit einem ersten vor- 
gebbaren Bitmuster belegt und der Inhalt des zweiten Spei- 5 
cherelements zum Erkennen eines erneuten Hochfahrens 
des Rechners bei jedem Hochfahren des Rechners abgefragt. 
Entspricht der Inhalt des zweiten Speicherelements beim 
Hochfahren des Rechners dem ersten Bitmuster, handelt es 
sich um ein erneutes Hochfahren des Rechners und nicht um 10 
ein Hochfahren nach einem Aus- und Einschalten (Power- 
On) des Rechners. Bei einem erneuten Hochfahren des 
Rechners wird dann der Inhalt des ersten Speicherelements 
ausgelesen und es werden die zeitlichen Abstande zum Be- 
dienen der Uberwachungsschaltung bestimmt. f 15 
[0025] GemaB einer weiteren bevorzugten Ausfiihrungs- 
form der vorliegenden Erflndung wird vorgeschlagen, dass 
nach einem erneuten Hochfahren des Rechners das zweite 
Speicherelement mit einem von dem ersten Bitmuster unter- 
schiedlichen zweiten vorgebbaren Bitmuster belegt wird. Es 20 
ist denkbar, dass es wahrend der Ausfiihrung des erflndungs- 
gemaBen Verfahrens tatsachlich zu einer Fehlfunktion des 
Rechners und infolgedessen zu einem Riicksetzen des Rech- 
ners kommt. In einem solchen Fall hat der in dem ersten 
Speicherelement abgelegte Zahlerstand noch nicht seinen 25 
Endwert erreicht. Der Zahlerstand gibt namlich nicht den 
spates t moglichen Zeitpunkt zum Bedienen der Uberwa- 
chungsschaltung, sondem lediglich den Zeitpunkt wieder, 
an dem der Rechner auf Grund der Fehlfunktion riickgesetzt 
wurde. Durch die vorgeschlagene Ausfuhrungsform kann 30 
verhindert werden, dass ein in dem ersten Speicherelement 
abgelegter falscher Zahlerstand als Zeitbasis zum Bedienen 
der Uberwachungsschaltung herangezogen wird. Die Uber- 
wachungsschaltung wird zunachst mit dem ermittelten fal- 
schen zeitlichen Abstand bedient und veranlasst infolgedes- 35 
sen ein Riicksetzen des Rechners. Nach dem erneuten Hoch- 
fahrendes Rechners wird das erfindungsgemaBe Verfahren 
dann noch einmal durchlaufen und dieses Mai der richtige 
zeitliche Abstand ermittelt, sofem nicht wieder ein Riickset- 
zen des Rechners auf Grund einer Fehlfunktion auftritt. 40 
[0026] Zum Erkennen eines erneuten Hochfahrens des 
Rechners wird alternativ oder zusatzlich vorgeschlagen, 
dass bei jedem Hochfahren des Rechners iiberpruft wird, ob 
eine Markierung (Power-On-Flag) des Rechners zum Er- 
kennen eines Hochfahrens des Rechners aus einem Ruck- 45 
setzmodus in einen Arbeitsmodus nach einem Einschalten 
des Rechners gesetzt ist. Die Power-On-Flag ist ein Hard- 
ware-Bit, das nach einem erstmaligen Hochfahren des Rech- 
ners nach dem Einschalten gesetzt ist, und das nach dem 
Hochfahren des Rechners im Anschluss an ein Riicksetzen 50 
jedoch nicht gesetzt ist. Durch Abfragen der Power-On-Flag 
kann festgestellt werden, ob der Rechner das erste Mai nach 
dem Einschalten des Rechners oder nach einem Riicksetzen 
des Rechners hochfahrt. Eine Power-On-Flag ist allerdings 
nicht bei jedem Rechner verfugbar. 55 
[0027] Von besonderer Bedeutung ist die Realisierung des 
erflndung sgemaBen Verfahrens in Farm eines Steuerele- 
ments, das fur ein Steuergerat insbesondere einer Sicher- 
heitseinrichtung fur ein Kraftfahrzeug vorgesehen ist. Dabei 
ist auf dem Steuerelement ein Programrn abgespeichert, das 60 
auf einem Rechner, insbesondere auf einem Mikroprozes- 
sor, ablauffahig und zur Ausfiihrung des erflndungsgemaBen 
Verfahrens geeignet ist. In diesem Fall wird also die Erfln- 
dung durch ein auf dem Steuerelement abgespeichertes Pro- 
gramrn realisiert, so dass dieses mit dem Programrn verse- 65 
hene Steuerelement. in gleicher Weise die Erflndung darstellt. 
wie das Verfahren, zu dessen Ausfiihrung das Programrn ge- 
eignet. ist. Als Steuerelement. kann insbesondere ein elektri- 



sches Speichermedium zur Anwendung kommen, bspw. ein 
Read-Only-Memory oder ein Rash-Memory. 
[0028] Als eine weitere Losung der Aufgabe der vorlie- 
genden Erflndung wird ausgehend von dem Steuergerat der 
eingangs genannten Art vorgeschlagen, dass das Steuergerat 
Mittel zum Ermitteln einer Zeitbasis aufweist, die nach ei- 
nem Hochfahren des Rechners aus einem Riicksetzmodus in 
einen Arbeitsmodus bis zu einem Riicksetzen des Rechners 
auf Grund einer fehlenden Bedienung der Uberwachungs- 
schaltung nach dem zeitlichen Muster vergeht, und dass das 
Steuergerat zweite Mittel zum Bedienen der Uberwachungs- 
schaltung in der Zeitbasis entsprechenden zeitlichen Ab- 
standen aufweist. 

[0029] Weitere Merkmale, Anwendungsmoglichkeiten 
und Vorteile der Erflndung ergeben sich aus der nachfolgen- 
den Beschreibung von Ausfuhrungsbeispielen der Erfln- 
dung, die in der Zeichnung dargestellt sind. Dabei bilden 
alle beschriebenen oder dargestellten Merkmale fur sich 
oder in beliebiger Kombination den Gegenstand der Erfln- 
dung, unabhangig von ihrer Zusammenfassung in den Pa- 
tentanspriichen oder deren Riickbeziehung sowie unabhan- 
gig von ihrer Formulierung bzw. Darstellung in der 1 
schreibung bzw. in der Zeichnung. Es zeigt: 
[0030] Fig. 2 ein Ablaufdiagramm eines erfindungsgema- 
Ben Verfahrens gemafi einer bevorzugten Ausfuhrungsform. 
[0031] Fig. 1 zeigt eine Anordnung mit einem Watchdog 
und einem Microcontroller, welche erflndungsgemaB betrie- 
ben bzw. ausgestaltet ist. 

Beschreibung der Ausfuhrungsbeispiele 

[0032] Fig. 1 zeigt einen Microcontroller uC mit wenig- 
stens einem Steuerelement SE, insbesondere wenigstens ei- 
nem Speicherelement, z. B. ein Read-Only-Memory, Ran- 
dom-Access-Memory oder Flash-Memory, und einen 
Watchdog WD, welche miteinander verbunden sind. 
[0033] Uber den Port WDS des Mikrocontrollers kann das 
Watchdogsignal, also ein Signal, welches nach einem be- 
stimmten zeitlichen Muster iibertragen wird, an den Watch- 
dog WD auf dessen WDS Port iibertragen werden. 
[0034] Mit einem Watchdog Port IRS, welcher mit einem 
Reset-Port R des Microcontrollers verbunden ist kann ein 
Reset des Mikrocontrollers durch den Watchdog ausgelost 
werden. Dazu wird beispi els weise ein Impulsresetsignal 
vom Watchdog and den Microcontroller uC gesandt. 
[0035] Dabei ist die Anordung z. B. Teil eines Steuergera- 
tes SG bzw. in einem Steuergerat SG untergebracht. 
[0036] Der Watchdog und der Mikrocontroller werden da- 
bei erflndungsgemafl synchronisiert, was anhand Fig. 2 na- 
her erlautert wird. 

[0037] Das in Fig. 2 dargestellte erfindungsgemaBe Ver- 
fahren dient zum Synchronisieren eines Mikrocontrollers 
auf einen externen Watchdog. Ein Watchdog ist eine Hard- 
ware-Uberwachungsschaltung, die von dem Mikrocontrol- 
ler nach einem bestimmten zeitlichen Muster bedient wer- 
den muss. Wird der Watchdog nicht nach dem vorgegebenen 
zeitlichen Muster bedient, geht er von einer Fehlfunktion 
des Mikrocontrollers aus und veranlasst ein Riicksetzen des 
Mikrocontrollers. Das erfindungsgemaBe Verfahren wird 
insbesondere zu Beginn einer Programmierung des Mikro- 
controllers ausgefuhrt. Zur Programmierung ist der Mikro- 
controller in einer Zielhardware, bspw. in einem Steuergerat 
fur eine Steuer- oder Sicherheitseinrichtung fur ein Kraft- 
fahrzeug, eingelegt. Die Programmierung in der Zielhard- 
ware wird in der Regel durch eine serielle Kommunikation 
zwischen einem externen Programmierrechner und einem 
auf dem Mikrocontroller ablauffahigen Hilfsprogramm ge- 
steuert. Das Hilfsprogramm wird auch als Bootloader be- 
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zeichnet und beinhaltet die Programmieralgorithmen und 
das Datenhahdling. 

[0038] Als Boodoader im Sinne der vorliegenden Erfin T 
dung wird zum einen ein mikrocomputerspezifischer Boot- 
loader bezeichnet, der in der Regel von dem Halbleiterher- 5 
steller in dem Mikrocontroller zur Verfugung gestellt wird 
oder von einem Anwender vor dem Einbau des Mikrocon- 
trollers in der Zielhardware in einem separaten Program- 
rniergerat einprogrammiert wird. Ein derartiger Bootloader 
ist ublicherweise einheitlich fur viele verschiedene Applika- 10 
tionen und anwenderunabhangig. Zum anderen kann es sich 
bei dem Bootloader aber auch um eine von dem Anwender 
fur eine bestimmte Applikation oder nach bestimmten An- 
forderungen des Anwenders (Kompatibilitat mit anderen 
Bootloadern, einheitliche Boodoader fur einen bestimmten 15 
Kraftfahrzeugtyp oder fur einen Kraftfahrzeughersteller, 
etc.) geschaffene Software handeln. 

[0039] Bei dem in Fig. 2 dargestellten Ausfuhrungsbei- 
spiel des erfindungsgernaBen . Verfahrens erfolgt die Syn- 
chronisation des Mikrocontrollers auf den extemen Watch- 20 
dog durch eine Programmsequenz zu Beginn des Bootloa- 
ders. Zunachst wird der Watchdog von dem Mikrocontroller 
nicht bedient. Es wird darauf gewartet, dass, der Watchdog 
ein Rucksetzen des Mikrocontrollers veranlasst, da der 
Watchdog nicht nach dem vorgegebenen zeitlichen Muster 25 
bedient worden ist. Vom Hochfahren des Rechners bis zum 
Rucksetzen des Rechners auf Grund einer ausbleibenden 
Bediehung des Watchdogs wird eine Zeitbasis gemessen 
und aus der Zeitbasis dann eine Watchdog-Zeit bzw. ein 
zeitlicher Abstand zwischen zwei aufeinanderfolgenden Be- 30 
dienungen des Watchdogs ermittelt. In diesem zeitlichen 
Abstand kann der Mikrocontroller dann den Watchdog wah- 
rend der Programrnierung bedienen und so ein Rucksetzen 
des Mikrocontrollers verhindem. 

[0040] Das erfindungsgemaBe Verfahren beginnt bei 35 
Funktionsblock 1 mit einem Hochfahren des Rechners aus 
einem Riacksetzmodus in einen Arbeitsmodus. Der Rechner 
kann zum ersten Mai nach dem Einschalten des Rechners 
(sog. Kaltstart) oder nach einem Rucksetzbefehl des Watch- 
dogs erneut hochfahren (sog. Warms tart). 40 
[0041] In einem nachfolgenden Abfrageblock 2 wird 
iiberpriift, ob eine Power-On-Flag gesetzt ist. Die Power- 
On-Flag ist ein Hardware-Bit, das bei einem erstmaligen 
Hochfahren des Rechners nach dem Einschalten des Rech- 
ners gesetzt ist. Bei einem erneuten Hochfahren des Rech- 45 
ners auf Grund eins Rucksetzbefehls des Watchdogs ist die 
Power-On-Flag nicht gesetzt. Der Abfrageblock 2 ist nur bei 
solchen Mikrocontrollem vorhanden, die eine Power-On- 
Flag aufweisen. Die Abfrage der Power-On-Flag dient als 
zusatzliche Abfrage, ob der Rechner erstmalig nach dem 50 
Einschalten des Rechners oder nach einem Rucksetzbefehl 
des Watchdogs erneut hochfahrt. Auf den Abfrageblock 2 
konnte 'ohne Einschrankung der Funktionalitat des erfin- 
dungsgemaBen Verfahrens auch verzichtet werden. 
[0042] Falls der Rechner erstmalig nach dem Einschalten 55 
des Rechners hochfahrt, wird zu Funktionsblock 3 ver- 
zweigt, wo ein Zahler gestartet wird. Der Zahler ist bspw. als 
ein System-Timer ausgebildet. Es gibt auch Mikrocontrol- 
ler, die eine freilaufenden/selbststartenden System-Timer 
aufweisen (z. B. Motorola HC12), die nicht gestartet werden 60 
miissen. Bei solchen Mikrocontrollem kann in dem erfin- 
dungsgemaBen Verfahren auf den Funktionsblock 3 verzich- 
tet werden'. 

[0043] AnschlieBend wird in einem Funktionsblock 4 der 
aktuelle Stand des System-Timers als Startzeit abgespei- 65 
chert. In einem zweiten Speicherelement (Speicher2) wird 
in Funktionsblock 5 ein erstes vorgebbares Bitmuster (BIT- 
MUSTER1) abgelegt. AnschlieBend gent das erfindungsge- 



maBe Verfahren in eine Endlosschleife 6 uber, in deren Ver- 
lauf in einem Funktionsblock 7 die Differenz des aktuellen 
Stands des System-Timers und der Startzeit in einem ersten 
Speicherelement (Speicherl) abgelegt wird. Das erbte Spei- 
cherelement ist bspw. als ein Random- Access-Memory 
(RAM) ausgebildet, an dem wahrend des Riicksetzens und 
des Hochfahrens des Rechners aufgrund eines Riicksetzbe- 
fehls des Watchdogs (Warmstart) ohne Unterbrechung eine 
Versorgungsspannung anliegt. Dadurch ist der Inhalt des er- 
sten Speicherelements auch nach einem Rucksetzen des 
Rechners noch vorhanden, sofern die Versorgungsspannung 
stabil bleibt. Die Endlosschleife. 6 wird so lange durchlau- 
fen, bis der Watchdog ein Rucksetzen des Rechners veran- 
lasst, da der Watchdog nicht nach dem vorgegebenen zeitli- 
chen Muster bedient worden ist. Das Rucksetzen des Rech- 
ners ist in Fig. 2 durch eine gestrichelte Linie 8 dargestellt. 
[0044] Nach dem Rucksetzen 8 des Rechners fahrt der 
Rechner in Funktionsblock 1 erneut hoch, Da es sich um ein 
erneutes Hochfahren nach einem Rucksetzbefehl des 
Watchdogs handelt, ist die Power-On-Flag nicht gesetzt und 
das Verfahren verzweigt von Abfrageblock 2 zu Abfrage- 
block 9, wo uberpruft wird, ob in dem zweiten Speicherele- 
ment (Speicher2) das erste Bitmuster (BITMUSTER 1) ab- 
gelegt ist. 

[0045] Da in dem Funktionsblock 5 in dem zweiten Spei- 
cherelement das erste Bitmuster abgelegt, wurde, wird nun 
von dem Abfrageblock 9 zu Funktionsblock 10 verzweigt, 
wo ein zweites Bitmuster (BITMUSTER2) in dem zweiten 
Speicherelement (Speicher2) abgelegt wird, wobei sich das 
zweites Bitmuster von dem ersten Bitmuster unterscheidet. 
[0046] AnschlieBend wird in einem Funktionsblock 11 
eine Watchdog-Zeit aus dem Produkt eines Korrekturfaktors 
K und dem Inhalt des ersten Speicherelements (Speicherl) 
ermittelt. Die Watchdog-Zeit ist der zeitliche Abstand, der 
zwischen zwei unmittelbar aufeinanderfolgenden Bediensi- 
gnalen des Mikrocontrollers fur den Watchdog liegt. Der 
Korrekturfaktor K ist kleiner als 1, vorzugsweise liegt er im 
Bereich zwischen 0,75 und 0,9. Durch den Korrekturfaktor 
K werden Toleranzen in dem Mikrocontroller oder in dem 
Watchdog beriicksichtigt, indem die Bedienung des Watch- 
dog zeitlich nach vorne verlagert wird. Dadurch kann ein 
falschlicherweise ausgelostes Rucksetzen des Rechners auf 
Grund einer zu spaten Bedienung des Watchdogs verhindert 
werden. 

[0047] In einem anschlieBenden Funktionsblock 12 wird 
eine Watchdog-Bedienung initialisiert mit einer Periode, die 
der Watchdog-Zeit entspricht. SchlieBlich wird zu der Boot- 
loaderfunktionalitat in Funktionsblock 13 verzweigt. 
[0048] Dort wird mit Hilfe des Bootloaders ein Applikati- 
onsprograrnm in den Programmspeicher des Mikrocontrol- 
lers geladen. Mit Hilfe verschiedener Applikationspro- 
gramme kann eine Mikrocontroller-Bauart fur verschiedene 
Steuerungsanwendungen eingesetzt werden. Mit der in 
Funktionsblock 12 bestimmten Periode wird wahrend der 
Programrnierung des Mikrocontrollers der Watchdog be- 
dient, um ein Zurucksetzen des Mikrocontrollers wahrend 
der Programrnierung zu verhindern. Wenn kein Applikati- 
onsprogramm in den Programmspeicher des Mikrocontrol- 
lers geladen werden muss, z. B. in einem spateren Einsatz 
des Steuergerates, weil das Applikationsprogramm bereits 
geladen ist, wird von dem Bootloader 13 direkt zu dem App- 
likationsprogramm gesprungen. 

[0049] Nachfolgend wird ein Sonderfall des erfindungsge- 
maBen Verfahrens beschrieben, bei dem wahrend der End- 
losschleife 6 ein Rticksatzen des Mikrocontrollers auf 
Grund einer Fehlfunktion des Mikrocontrollers veranlasst 
wird. Die Endlosschleife 6 wird also fruher als vorgesehen 
verlassen, was dazu fuhrt, dass in dem ersten Speicherele- 
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ment (Speicherl) em falscher Wert abgelegt ist. Das wie- 
derum fuhrt dazu, dass nach dem erneuten Hochfahren des 
Rechners in dem Funktionsblock 11 eine falsche Watchdog- 
Zeit und in dem Funktionsblock 12 eine falsche Periode fur 
die Watchdog-B edienung f estgelegt wird. Wahrend der Pro- 5 
grammierung des Mikrocontrollers in dem Funktionsblock 
13 kommt es infolgedessen zu einem Rucksetzen des Rech- 
ners, da der Watchdog nach einem falschen zeitlichen Mu- 
ster bedient worden ist. Das Rucksetzen ist in Fig. 2 mit ei- 
ner gestrichelten Linie 14 dargestellt. 10 
[0050] Nach dem Rucksetzen des Rechners fahrt der 
Rechner erneut hoch. Der Funktionsblock 1 und der Abfra- 
geblock 2 werden wie oben beschrieben durchlaufen. Von 
dem Abfrageblock 9 aus wird jedoch nicht - wie oben be- 
schrieben - zu dem Funktionsblock 10, sondem zu dem 15 
Funktionsblock 3 verzweigt, da in dem vorherigen Durch- 
lauf des Verf ahrens in Funktionsblock 10 das zweite Bitmu- 
ster (BITMUSTER2) in dem zweiten Speicherelement 
(Speicher2) abgelegt worden ist. In den Funktionsblocken 4 
bis 7 wird dann wieder die Zeitdauer ermittelt und in dem er- 20 
sten Speicher (Speicherl) abgelegt, die vom Hochfahren des 
Rechners bis zu einem Rucksetzen des Rechners auf Grund 
einer ausbleibenden Bedienung des Watchdogs vergeht. An- 
schlieBend wird dann in dem Funktionsblock 11 die richtige 
Watchdog-Zeit und in dem Funktionsblock 12 die richtige 25 
Periode fur die Watchdogbedienung berechnet, so dass der 
Mikrocontroller wahrend der Programmierung des Pro- 
grammspeichers des Mikrocontrollers mit Hilfe des Boot- 
loaders in Funktionsblock 13 mit dem von dem Watchdog 
vorgegebenen zeitlichen Muster bedient werden kann. 30 

Patentanspriiche 

1. Verfahren zum Betreiben mindestens eines Rech- 
ners und mindestens einer dem mindestens einen Rech- 35 
ner zugeordneten und nach einem bestimmten zeitli- 
chen Muster von dem Rechner zu bedienenden Uber- 
wachungsschaltung (Watchdog), insbesondere fur eine 
Steuer- oder Sicherheitseinrichtung fur ein Kraftfahr- 
zeug, wobei der Rechner ruckgesetzt wird, falls die 40 
Uberwachungsschaltung nicht nach dem zeitlichen 
Muster bedient wird, dadurch gekennzeichnet, dass 
nach einem Hochfahren (1) des Rechners aus einem 
Riicksetzmodus in einen Arbeitsmodus eine Zeitbasis 
ermittelt wird, die nach dem Hochfahren des Rechners 45 
bis zu einem Rucksetzen des Rechners aufgrund einer 
fehlenden Bedienung der Uberwachungsschaltung 
nach dem zeitlichen Muster vergeht, und dass die. 
Uberwachungsschaltung in zeitlichen Abstanden be- 
dient wird, die in Abhangigkeit von der Zeitbasis er- 50 
mittelt werden (11). 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, dass das Verfahren ausgefuhrt wird bevor mit Hilfe 
eines in dem Rechner gespeicherten Hilfsprogramme 
(Bootloader) ein Applikationsprogramm in einen Pro- 55 
grammspeicher des Rechners geladen wird (13). 

3. Verfahren nach Anspruch 1 oder 2, dadurch gekenn- 
zeichnet, dass die zeitlichen Abstande durch Multipli- 
kation der Zeitbasis mit einem Korrekturfaktor (K) er- 
mittelt werden (11). > 60 

4. Verfahren nach Anspruch 3, dadurch gekennzeich- 
net, dass der Korrekturfaktor (K) kleiner als 1, vor- 
zugsweise zwischen 0,75 und 0,9, gewahlt wird. 

5. Verfahren nach einem der Anspruche 1 bis 4, da- 
durch gekennzeichnet, dass zum Ermitteln der Zeitba- 65 
sis nach dem Hochfahren (1) des Rechners aus einem 
Rucksetzmodus in einen Arbeitsmodus ein Zahler 
hochgezahlt. und der Zahlerstand in einem ersten Spei- 



cherelement (Speichert), vorzugsweise einem Ran- 
dom-Access-Memory (RAM), abgelegt wird (7). 

6. Verfahren nach Anspruch 5, dadurch gekennzeich- 
net, dass der Zahlerstand nach einem erneuten Hoch- 
fahren des Rechners nach dem Rucksetzen des Rech- 
ners aufgrund einer fehlenden Bedienung der Uberwa- 
chungsschaltung dar Zahlerstand aus dem ersten Spei- 
cherelement (Speichen) ausgelesen und als Zeitbasis 
zum Bedienen der Uberwachungsschaltung herangezo- 
gen wird (11). 

7. Verfahren nach Anspruch 6, dadurch gekennzeich- 
net, dass nach einem Hochfahren (1) des Rechners aus 
einem Rucksetzmodus in einen Arbeitsmodus ein 
zweites Speicherelement (Speicher2) mit einem ersten 
vorgebbaren Bitmuster (B1TMUSTER1) belegt wird 
(5) und der Inhalt des zweiten Speicherelements (Spei- 
cher2) zum Erkennen eines erneuten Hochfahrens des 
Rechners bei jedem Hochfahren (1) des Rechners ab- 
gefragt wird (9). 

8. Verfahren nach Anspruch 7, dadurch gekennzeich- 
net, dass nach einem erneuten Hochfahren des Rech- 
ners das zweite Speicherelement (Speicher2) mit eint 
von dem ersten Bitmuster (BITMUSTER1) unter- 
schiedlichen zweiten vorgebbaren Bitmuster (BITMU- 
STER2) belegt wird (10). 

9. Verfahren nach einem der Anspruche 6 bis 8, da- 
durch gekennzeichnet, dass bei jedem Hochfahren (1) 
des Rechners iiberpruft wird (2), ob eine Markierung 
(Power-On-Rag) des Rechners zum Erkennen eines 
Hochfahrens des Rechners aus einem Rucksetzmodus 
in einen Arbeitsmodus nach einem Einschalten des 
Rechners gesetzt ist. 

10. Steuerelement, insbesondere Read-Only-Memory 
oder Flash-Memory, fur ein Steuergerat insbesondere 
einer Steuer- oder Sicherheitseinrichtung fur ein Kraft- 
fahrzeug, auf dem ein Programm abgespeichert ist, das 
auf einem Rechner, insbesondere auf einem Mikropro- 
zessor, ablauffahig und zur Ausfuhrung eines Verfah- 
rens nach einem der Anspruche 1 bis 9 geeignet ist. 

11. Steuergerat mit mindestens einem Rechner und 
mindestens einer dem mindestens einen Rechner zuge- 
ordneten und nach einem bestimmten zeitlichen Muster 
von dem Rechner zu bedienenden Uberwachungs- 
schaltung (Watchdog), insbesondere fiir eine Steuer- 
oder Sicherheitseinrichtung fur ein Kraftfahrzeug, da- 
durch gekennzeichnet, dass das Steuergerat Mittel zum 
Ermitteln einer Zeitbasis aufweist, die nach einem 
Hochfahren des Rechners aus einem Rucksetzmodus in 
einen Arbeitsmodus bis zu einem Rucksetzen des 
Rechners aufgrund einer fehlenden Bedienung der 
Uberwachungsschaltung nach dem zeitlichen Muster 
vergeht, und dass das Steuergerat zweite Mittel zum 
Bedienen der Uberwachungsschaltung in der Zeitbasis 
entsprechenden zeitlichen Abstanden aufweist. 
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method for vehicle control device, involves operating watchdog 
based on time period elapsed after booting up to resetting, 
operation of microcontroller 
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AB: NOVELTY - The microcontroller is reset if the watchdog is 
not operated according to a temporal pattern of the 
microcontroller. The time period elapsed after booting up the 
microcontroller up to a resetting operation is determined. The 
watchdog is operated based on the determined time period. 
DETAILED DESCRIPTION - INDEPENDENT CLAIMS are also included for 
the following: (a) Storage device comprising program for 
synchronizing operation of microcontroller and watchdog; (b) 
Control device; USE - For synchronizing operation of 
microcontroller and watchdog used in electronic control unit of 
vehicle for controlling accelerator, anti lock brake system 
(ABS) and passenger retaining system such as airbag, return 
impact damping head support, etc. ADVANTAGE - Prevents 
resetting of microcontroller during programming by operating 
watchdog based on determined time period. DESCRIPTION OF 
DRAWING (S) - The figure shows the flowchart explaining 
synchronization procedure of operation of watchdog and 
microcontroller. (Drawing includes non-English language text) . 
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